Résumé

Vulnérabilité dans gitpython (CVE-2026-78675). L'exploitation peut entraîner la prise de contrôle totale du système. Exploitable via SubmoduleConfigParser. Atténuation : mise à jour vers >= 3.1.59 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

[HIGH] Arbitrary local file content disclosure via `[include]` directive in untrusted `.gitmodules` (`SubmoduleConfigParser` never disables `merge_includes`)

CWE: CWE-200 (Exposure of Sensitive Information) / CWE-73 (External Control of File Name or Path)
Affected component: git/objects/submodule/base.py, Submodule._config_parser() (~line 273) constructing SubmoduleConfigParser(fp_module, read_only=read_only); git/config.py, GitConfigParser.__init__ (merge_includes default), GitConfigParser.read()/_included_paths() (include-path resolution, ~lines 630-685), GitConfigParser._read() (~line 493-498, MissingSectionHeaderError)
Affected version: GitPython at HEAD (9729ed3b948f2bde09f1f188c5311e172212b67e, 2026-08-05, VERSION 3.1.58)

Reachability

GitConfigParser.__init__ defaults merge_includes=True: any config file it parses has its [include] (and, when a repo= is supplied, [includeIf ...]) directives followed and merged in. The maintainers already recognized this as dangerous for one specific case and fixed it in commit 41ecc6a4 ("Disable merge_includes in config writers"), which passes merge_includes=False when Repo.config_writer() builds its parser (git/repo/base.py).

That fix never touched Submodule._config_parser(). This method builds the parser used for every read of a repo's submodule configuration — repo.submodules, Submodule.iter_items(), Submodule.config() — via `SubmoduleConfigParser(fp_modu…

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-78675 a été découverte dans path-traversal.
Des attaquants peuvent cibler un point d'entrée spécifique comme SubmoduleConfigParser à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.4/10.
Action : mettez à jour path-traversal vers >= 3.1.59 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « path-traversal CVE-2026-78675 » sur le site de l'éditeur.

CVE-2026-78675 (path-traversal) — CWE-73 / CVSS v3 8.4
Vecteur d'attaque : local / non authentifié / sans interaction utilisateur
Surface d'attaque : SubmoduleConfigParser / merge_includes / GitConfigParser.__init__ / MissingSectionHeaderError
Versions affectées : <= 3.1.58
Correctif : >= 3.1.59 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

.gitmodulesの解析時にmerge_includesが無効化されない脆弱性

📍 Périmètre concerné

GitPythonバージョン3.1.59以前

🔥 Gravité

攻撃者が任意のファイルパスを含めることで、ローカルファイルの内容が開示される可能性があります。重要な情報が漏洩するリスクがあります。

🔧 Comment corriger

GitPythonをバージョン3.1.59に更新してください。

🛡️ Contournement

該当の.gitmodulesファイルを手動で確認し、信頼できないincludeディレクティブを削除する。

🔍 Détection

リポジトリ内の.gitmodulesファイルに信頼できないincludeディレクティブが含まれていないか確認する。

Paquets affectés

pip gitpython

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"3.1.59"}]}]